AC-17 - Accès à distance   (PaF-)  (Obligatoire)

Énoncés :

a. Définir et consigner les restrictions d’utilisation, les exigences en matière de configuration et de connexion, ainsi que les directives de mise en oeuvre de chaque type d’accès à distance autorisé;
b. Autoriser chaque type d’accès à distance au système avant d’autoriser de telles connexions.

Paramètres :

Discussion :

Par accès à distance (ou accès distant), on entend l’accès des utilisatrices et utilisateurs (ou des processus exécutés en leur nom) aux systèmes organisationnels au moyen de réseaux externes, comme Internet. Les types d’accès à distance comprennent l’accès par ligne commutée, à large bande et sans fil. Les organisations utilisent des réseaux privés virtuels (RPV) chiffrés pour augmenter la confidentialité et l’intégrité des connexions à distance. L’utilisation de RPV chiffrés permet à l’organisation de s’assurer qu’elle peut traiter efficacement ce type de connexion comme des réseaux internes si les mécanismes de chiffrement utilisés sont mis en oeuvre conformément aux lois, aux décrets, aux directives, à la réglementation, aux politiques, aux normes et aux lignes directrices applicables. Cela dit, les connexions RPV traversent des réseaux externes et les RPV chiffrés n’augmentent pas la disponibilité des connexions distantes. Les RPV dotés de tunnels chiffrés peuvent également avoir une incidence sur la capacité de l’organisation à surveiller adéquatement le trafic de communication réseau à des fins de détection de programmes malveillants. Les contrôles d’accès à distance s’appliquent aux systèmes autres que les serveurs Web publics ou les systèmes conçus pour l’accès public. Chaque type d’accès à distance exige une autorisation avant de permettre l’accès distant, sans préciser les formats de cette autorisation. Bien que les organisations puissent avoir recours à des ententes sur la sécurité des échanges d’information et des connexions aux systèmes pour gérer l’accès à distance aux autres systèmes, ces ententes relèvent du contrôle CA-
03. Le contrôle AC-03 porte sur l’application des restrictions d’accès à distance.